#mfa

MFA는 로그인에서 끝난다. 계정 탈취는 거기서 시작된다

로그인 절차에는 하드웨어 키와 생체인증이 붙었다. 그런데 그 뒤의 모든 것은 쿠키 한 장 위에서 돌아간다. 지금 탈취가 일어나는 곳은 비밀번호가 아니라 세션이다.